Cruzar técnica y contramedida

ATT&CK y D3FEND no se unen directamente: se unen a través de los artefactos digitales, las cosas sobre las que una técnica actúa y una contramedida defiende. Un correo, una cuenta, una tarea programada, una conexión de red, un archivo. Se lee así: la técnica toca un artefacto, y sobre ese artefacto hay contramedidas de varias tácticas.

Por eso, al cruzar, la pregunta útil no es «qué producto frena esta técnica» sino «sobre qué artefacto actúa y qué se puede hacer sobre él». En la tabla puente ves ese recorrido: técnica, artefacto, contramedida y táctica.

Una misma técnica casi siempre tiene contramedidas de más de una táctica: unas que endurecen antes, otras que detectan mientras ocurre, otras que expulsan después. Ver las tres capas juntas es lo que evita proponer solo alarmas. Consulta las filas del puente de la técnica de las cuentas reales usadas por el adversario, T1078, y mira qué táctica tiene cada una.

La tabla observadas dice cuántas veces se vio cada técnica en los registros de la semana. Lo que más se repite no es siempre lo más grave, pero es lo que antes se va a volver a ver, y por eso sirve de primer filtro para ordenar el trabajo. Es un dato propio: se cita como «visto en los registros de Lucero», no como una estadística del mundo.

Contar las filas de un tipo en el puente da una idea de cuánto de la defensa disponible es de vigilancia. No dice si es bastante: dice cuánto hay en este extracto. Si casi todo fuera de detección, el informe diría que hay mucho para enterarse y poco para frenar.

La tabla observadas trae una técnica, T1195, para la que el puente no tiene ninguna fila. Puede ser porque el extracto es corto, porque la técnica toca artefactos que no se han cargado o porque el cruce no se ha trabajado. En cualquiera de los tres casos, lo honesto es anotar la laguna y no rellenarla con un cruce que suene bien.